Meldung von Sicherheitsvorfällen nach NIS2: 24 Std. / 72 Std. / 1 Monat
Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats – die Falle besteht darin, die Fristen zu verwechseln oder sie mit anderen EU-Meldevorschriften durcheinanderzubringen.
Diese Seite anhören (Beta)
Die NIS2-Richtlinie legt drei aufeinanderfolgende Fristen für die Meldung erheblicher Cybersicherheitsvorfälle fest. Innerhalb von 24 Stunden, nachdem Sie von dem Vorfall Kenntnis erlangt haben, müssen Sie eine Frühwarnung übermitteln, anschließend innerhalb von 72 Stunden eine ausführlichere Meldung und schließlich innerhalb eines Monats einen umfassenden Abschlussbericht. Der entscheidende Unterschied zur 72-Stunden-Frist der GDPR für die Meldung einer Verletzung des Schutzes personenbezogener Daten besteht darin, dass es sich dort um eine einzige Frist und nicht um ein dreistufiges Verfahren handelt – beides zu verwechseln ist ein häufiger Prüfungsfehler.
Um Verwechslungen zu vermeiden, merken Sie sich die Abfolge „warnen, erläutern, abschließen“. Die 24-Stunden-Frühwarnung ist lediglich ein erster Hinweis mit Angaben zu den anfänglichen Auswirkungen, die 72-Stunden-Meldung ergänzt Informationen zur Ursache und zu den fortdauernden Auswirkungen, und der Bericht nach einem Monat umfasst die vollständige Untersuchung und die Abhilfemaßnahmen. Ein nützlicher Ausschlusstrick: Wird in einer Frage ein „Zwischenbericht“ oder eine „Aktualisierung“ erwähnt, handelt es sich wahrscheinlich nicht um NIS2 – NIS2 sieht nur diese drei festgelegten Stufen und keine fortlaufenden Aktualisierungen vor. Beachten Sie außerdem, dass die 24-Stunden-Frist ab „Kenntniserlangung“ und nicht ab Eintritt des Vorfalls läuft; achten Sie daher auf Formulierungen wie „entdeckt“ im Gegensatz zu „eingetreten“.
Um sich die Reihenfolge einzuprägen, denken Sie an eine Eilmeldung nach 24 Stunden, eine ausführliche Unterrichtung nach 72 Stunden und eine abschließende Analyse nach einem Monat. Testen Sie sich, indem Sie aufsagen: „24 für die Warnung, 72 für die Einzelheiten, ein Monat für die ganze Geschichte.“ Wenn Sie eine Frist wie 48 Stunden oder 14 Tage sehen, stammt sie wahrscheinlich aus einer anderen Verordnung wie dem Rechtsakt über die digitale operationale Resilienz (DORA) – kennzeichnen Sie sie als Ablenkungsantwort.
Welches sind die zentralen Meldefristen für Sicherheitsvorfälle nach NIS2?
Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats.